Wprowadzenie ustawy o zmianie niektórych ustaw (w 2019 roku) miało wpływ na przetwarzanie danych m. in w sektorze zatrudnienia. Cały czas spotykamy się z pytaniami dotyczącymi tych zmian, mimo że minęło już kilka lat od ich wprowadzenia. Jak dużo się zmieniło i czy to dobra zamiana?
Wprowadzone regulacje opierają się na trzech podstawach prawnych przetwarzania danych osobowych wynikających z RODO:
- Pracodawca pozyskuje obowiązkowe dane osoby, która ubiega się o zatrudnienie lub pracownika.
- Dane osobowe, które pracodawca przetwarza na podstawie zgody pracownika.
- W pozostałym zakresie zastosowanie znajdą inne przesłanki przetwarzania danych osobowych przewidziane w art. 6 i 9 RODO.
Art. 22(1) par. 1 wskazuje kategorie danych osobowych, do pozyskania, których pracodawca jest obowiązany na etapie rekrutacji tj. imię i nazwisko, data urodzenia, dane kontaktowe wskazane przez osobę, wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia i jeżeli chodzi o trzy pierwsze, to nie mamy wątpliwości, że są one niezbędne, to wykształcenie, kwalifikacje zawodowe i przebieg zatrudnienia nie do końca wydawały się być niezbędne. Bo taki, na przykład Inspektor Ochrony Danych musi posiadać fachową wiedzę i kwalifikacje – ba! potwierdza to samo rozporządzenie – to czy przebieg wykształcenia i kwalifikacji zawodowych pracownika sezonowego, kierowanego do prac porządkowych na terenach zielonych jest istotny dla przyszłego Pracodawcy? To zależy – od czego? Od tego jak to uzasadni owy Pracodawca. Przyszłego pracownika możemy skierować do prac porządkowych, do których nie będzie używać zaawansowanego sprzętu lub do takich, w których ten sprzęt będzie niezbędny. Jeżeli co do pierwszego przypadku wątpliwości nie mamy, to w drugim przypadku bylibyśmy spokojniejsi, gdybyśmy wiedzieli, że kandydat wie jak obsługiwać się kosiarką spalinową, aby nie wyrządzić krzywdy sobie i innym. Po wybraniu odpowiedniego dla nas kandydata możemy posiłkować się art. 22(1) par. 3 i na ich podstawie uzyskać dane niezbędne w procesie zatrudnienia.
Nie byłoby w sprawie nic niezwykłego, gdyby nie fakt, że na dane nieobjęte kodeksem pracy wymagana jest zgoda w formie oświadczenia woli lub wyraźnego działania potwierdzającego, chyba że z konkretnych przepisów wynika obowiązek przedstawienia dodatkowych informacji, jak np. oświadczenie o stanie zdrowia czy oświadczenia, że nie jest prowadzone przeciwko kandydatowi postępowanie o przestępstwo ścigane z oskarżenia publicznego lub przestępstwo skarbowe.
Często zdarza się, że potencjalny kandydat zamieszcza w swoim życiorysie zdjęcie, informacje o zainteresowaniach i inne dodatkowe informacje, które nie są objęte katalogiem Kodeksu Pracy. Czy możemy takie CV przyjąć? Dokument taki może zostać przez nas wykorzystany tylko w przypadku, gdy kandydat wyrazi zgodę na przetwarzanie ww. danych, w przeciwnym przypadku nie ma podstaw do zbierania i przechowywania takich informacji.
Jednym z rozwiązań jest umieszczenie osobnej zgody w ogłoszeniu do naboru tak, aby była jednym z dokumentów, który należy złożyć, by aplikacja była kompletna. Warto wskazać informacje, że zgoda obejmuje dane, które nie są wymagane przepisami prawa oraz że jeżeli kandydat nie przekazuje takich informacji, zgody wyrażać nie musi. Innym, wspomnianym już wcześniej rozwiązaniem, jest wyraźne działanie potwierdzające np. przesłanie życiorysu w związku z ogłoszonym procesem rekrutacyjnym lub niezależnie np. poprzez przesłanie pocztą tradycyjną, mailową czy bezpośrednio do Organizacji. Jeżeli potencjalny pracodawca będzie korzystał z tych danych w procesie rekrutacji, powinien pełnić obowiązek informacyjny wobec takiej osoby zgodnie z art. 13 RODO.
Dodatkowo ważną informację dla Pracodawcy przedstawia motyw 43 RODO, gdzie wskazane jest, że istnieje wyraźny brak równowagi na linii administrator – osoba, której dane dotyczą. Co za tym idzie, zgoda nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych z uwagi na wysokie prawdopodobieństwo braku jej dobrowolności. Fakt ten zauważyła również Grupa Robocza art. 29, która w 2018 r. odniosła się do ww. sprawy stwierdzając, że mało prawdopodobne jest by osoba, której dane dotyczą mogła odmówić pracodawcy zgody na przetwarzanie danych, nie doświadczając obaw lub faktycznego ryzyka poniesienia niekorzystnych konsekwencji w wyniku odmowy.
Kolejną i ostatnią kwestią, nad którą warto się pochylić nad innymi przesłankami przetwarzania danych osobowych wskazanych w art. 6 i 9 RODO to, czy od kandydata możemy żądać oświadczenia o niekaralności lub zaświadczenia z Krajowego Rejestru Karnego? Kodeks Pracy nie wskazuje na informację o niekaralności wśród danych, których przedstawienia można żądać podczas rekrutacji lub przyszłego zatrudnienia. Oznacza to, że pracodawca, aby pozyskać te dane zgodnie z prawem musi być do tego uprawniony lub zobowiązany na podstawie przepisów prawa. Niekaralność przewidziana jest w wielu ustawach jako warunek niezbędny do zatrudnienia np. nauczyciele – Karta Nauczyciela art. 10 ust. 5 pkt 4), pracownicy zatrudnieni w Służbie leśnej – ustawa o lasach (art. 45. ust 2. pkt 8).
Może się nam nasunąć pytanie, czy gdy pozyskamy zgodę od kandydata/pracownika na pozyskanie informacji o niekaralności możemy to sprawdzić? Tutaj biegnie nam z odpowiedzią art. 10 RODO dotyczący przetwarzania danych osobowych wyroków skazujących i naruszeń prawa, który wyłącza możliwość stosowania zgody jako przesłanki przetwarzania ww. danych. Wykładnia art. 6 ust. 1 pkt 10 ustawy o KRK wskazuje, że możliwe jest występowanie do Krajowego Rejestru Karnego wyłącznie, gdy zapytanie ma dotyczyć kandydata na pracownika.
Szczególne kategorie danych osobowych pojawiają się już w kwestii wyłonienia idealnego kandydata na pracownika, a mianowicie pozyskanie danych do wstępnego badania lekarskiego na jakie należy skierować przyszłego pracownika w związku z art. 229 § 4 Kodeksu Pracy. Badania wstępne/okresowe/kontrolne przeprowadzane są na podstawie skierowania wystawionego przez pracodawcę. Pozyskanie tych danych mieści się w przesłance art. 9 ust 2 pkt b RODO, który określa, że jest to niezbędne do wypełnienia obowiązków pracodawcy w dziedzinie prawa pracy. Należy mieć zatem na uwadze różnicę pomiędzy kandydatem, w znaczeniu osoby ubiegającej się o stanowisko w konkretnym naborze, a osobą przyjmowaną do pracy. Zasadnym będzie więc stwierdzenie, że art. 229 Kodeksu Pracy stanowi podstawę prawną do przetwarzania danych o stanie zdrowia osoby, która w wyniku procesu rekrutacji otrzymała propozycję zatrudnienia i osoba ta została przyjęta.
Do zadań związanych z zatrudnianiem czy też prowadzeniem spraw pracowników, mogą być dopuszczone tylko osoby posiadające pisemne upoważnienie, co wynika z art. 22[1b] § 3 Kodeksu Pracy. Dodatkowo, osoba oddelegowana do ww. czynności, zobowiązana jest do zachowania danych w tajemnicy nawet po ustaniu zatrudnienia. Ze względu na odpowiedzialność karną z tytułu art. 107 ustawy o ochronie danych osobowych wskazanym jest, aby osoba, która jest upoważniona przez pracodawcę do przetwarzania danych osobowych otrzymała również kopię upoważnienia.
Autor: Monika Jędro, Kierownik Projektu CompNet Sp. z o.o.